Scripts AuxiNux

Contenu de fragnesia-mitigation.sh

#!/usr/bin/env bash

# Name=Fragnesia - CVE-2026-46300
# Desc=Mitigation contre la faille Linux Fragnesia (CVE-2026-46300) en désactivant les modules vulnérables esp4, esp6 et rxrpc.

set -euo pipefail

LOGFILE="/var/log/fragnesia-mitigation.log"
MODPROBE_FILE="/etc/modprobe.d/fragnesia.conf"

log() {
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] $1" | tee -a "$LOGFILE"
}

if [[ $EUID -ne 0 ]]; then
    echo "Ce script doit être exécuté en root."
    exit 1
fi

log "======================================="
log "Mitigation Fragnesia CVE-2026-46300"
log "======================================="

KERNEL="$(uname -r)"
DISTRO="$(grep PRETTY_NAME /etc/os-release | cut -d= -f2 | tr -d '"')"

log "Distribution : $DISTRO"
log "Kernel : $KERNEL"

# -------------------------------------------------
# Validation modules vulnérables
# -------------------------------------------------

log "Validation des modules vulnérables actuellement chargés..."

VULN_MODULES=()

for module in esp4 esp6 rxrpc; do
    if lsmod | grep -q "^${module}"; then
        log "Module vulnérable détecté : $module"
        VULN_MODULES+=("$module")
    else
        log "Module non chargé : $module"
    fi
done

# -------------------------------------------------
# Création mitigation
# -------------------------------------------------

if [[ -f "$MODPROBE_FILE" ]]; then
    log "Fichier de mitigation déjà présent."
else
    log "Création du fichier de mitigation..."

cat > "$MODPROBE_FILE" << EOF
# Mitigation Fragnesia CVE-2026-46300
install esp4 /bin/false
install esp6 /bin/false
install rxrpc /bin/false
blacklist esp4
blacklist esp6
blacklist rxrpc
EOF

    chmod 644 "$MODPROBE_FILE"

    log "Mitigation écrite dans $MODPROBE_FILE"
fi

# -------------------------------------------------
# Déchargement modules
# -------------------------------------------------

log "Tentative de déchargement des modules vulnérables..."

for module in esp4 esp6 rxrpc; do
    if lsmod | grep -q "^${module}"; then
        if rmmod "$module" 2>/dev/null; then
            log "Module déchargé : $module"
        else
            log "Impossible de décharger : $module (probablement utilisé)"
        fi
    fi
done

# -------------------------------------------------
# Mise à jour initramfs
# -------------------------------------------------

if command -v update-initramfs >/dev/null 2>&1; then
    log "Mise à jour initramfs (Debian/Ubuntu)..."
    update-initramfs -u -k all >> "$LOGFILE" 2>&1
elif command -v dracut >/dev/null 2>&1; then
    log "Reconstruction initramfs via dracut..."
    dracut -f >> "$LOGFILE" 2>&1
else
    log "Aucun outil initramfs détecté."
fi

# -------------------------------------------------
# Validation finale
# -------------------------------------------------

log "Validation finale des modules..."

FAILED=0

for module in esp4 esp6 rxrpc; do
    if lsmod | grep -q "^${module}"; then
        log "ATTENTION : module encore actif -> $module"
        FAILED=1
    else
        log "OK : module absent -> $module"
    fi
done

# -------------------------------------------------
# Résultat
# -------------------------------------------------

if [[ $FAILED -eq 0 ]]; then
    log "Mitigation appliquée avec succès."
else
    log "Mitigation partiellement appliquée."
    log "Un redémarrage du système est recommandé."
fi

log "======================================="
log "Fin mitigation Fragnesia"
log "======================================="

echo
echo "Résumé :"
echo " - CVE : CVE-2026-46300"
echo " - Modules mitigés : esp4 esp6 rxrpc"
echo " - Log : $LOGFILE"
echo

if [[ $FAILED -eq 1 ]]; then
    echo "⚠️ Reboot recommandé."
else
    echo "✅ Mitigation active."
fi